Bitdefender met en garde les entreprises contre des fichiers Publisher pouvant entrainer des vols de données
septembre 2016
Les chercheurs antispam des Bitdefender Labs ont identifié quelques milliers d’e-mails contenant des pièces jointes ayant .pub, comme extension, et se faisant passer pour des commandes ou factures de produits. Les expéditeurs de ces courriers électroniques usurpent l’identité d’employés travaillant le plus souvent dans des petites et moyennes entreprises au Royaume-Uni ou en Chine, mais pas seulement, d’autres entreprises plus importantes sont également ciblées.
Les destinataires sont invités à ouvrir les fichiers joints avec Microsoft Publisher, un logiciel de Publication Assistée par Ordinateur (PAO), intégré à Microsoft Office 365. Publisher est communément utilisé pour éditer et mettre en page des textes, ou encore créer des flyers, newsletters, des e-mailings, etc.
« .pub n’est pas une extension de fichier souvent utilisée pour diffuser des logiciels malveillants »,déclare Adrian Miron, Chef de la division Antispam des Bitdefender Labs. « Les spammeurs ont choisi ce type de fichiers, car, en général, les gens ne se doutent pas qu’il puisse être un vecteur d’infection ».
L’extension .pub infectée contient un script (VBScript) qui intègre une URL agissant comme un hôte distant. De là, le malware télécharge un dossier auto-extractible contenant un script AutoIt, outil qui sert à exécuter le script et un fichier chiffré en AES-256. Les chercheurs antimalware de Bitdefender ont remarqué que ce fichier chiffré peut être déchiffré en utilisant une clé dérivée de l’algorithme MD5 (Message Digest 5), d'un texte écrit à l’intérieur du fichier AutoIt.
Fig. 1 VBScript désobfusqué
Fig. 2 Le script AutoIt décodé avec le MD5 pour la clé de déchiffrement
Une fois que le fichier est déchiffré et installé, les attaquants ont alors accès au système via une backdoor et peuvent contrôler les ressources sur l'ordinateur compromis. Le malware peut mémoriser des séquences de touches pour enregistrer les mots de passe et noms d'utilisateurs, dérober des informations de connexion à partir des navigateurs Web ou des e-mails, afficher les données du système et réaliser d'autres actions intrusives.
« Nous avons des raisons de croire que ce type d’attaque provient de l'Arabie Saoudite et de la République tchèque », ajoute Adrian Miron.
Bitdefender détecte et bloque ce fichier .pub nommé W97M.Downloader.EGF, ainsi que la charge utile de la backdoor comme Generic.Malware.SFLl.545292C0.
MD5 : 8bcaf480f97eb43d3bed8fcc7bc129a4
Pour rester protégé contre ce type de menaces, Bitdefender conseille aux entreprises d'installer un filtre antispam fiable. Les utilisateurs doivent éviter d’ouvrir et de télécharger des pièces jointes suspectes provenant de sources inconnues.
Analyse technique d’Alexandru RUSU, Chercheur Antimalware et d’Adrian MIRON, Chef de la division Antispam chez Bitdefender.
À propos de Bitdefender®
Bitdefender est une société internationale de technologies de sécurité qui fournit ses solutions dans plus de 100 pays à travers un réseau d'alliances à valeur ajoutée, de distributeurs et de partenaires revendeurs. Depuis 2001, Bitdefender n’a cessé de développer des technologies de protection maintes fois récompensées et est devenu le plus innovant des fournisseurs de technologies de sécurité pour les environnements virtualisés et Cloud. Grâce à ses investissements en R&D et de nombreux partenariats technologiques, Bitdefender a réhaussé les standards de sécurité les plus élevés de l’industrie en s’appuyant à la fois sur ses technologies classées N°1 et ses alliances stratégiques avec les principaux fournisseurs de technologies de virtualisation et de Cloud dans le monde.
Depuis 2001, Bitdefender confie, pour la France et les pays francophones, l’édition et la commercialisation de ses solutions à la société Profil Technology. Plus d’informations sur www.bitdefender.fr
À propos de Profil Technology®
Profil Technology est une société française indépendante qui développe, édite et commercialise des logiciels pour les particuliers et les entreprises. Créée en 1989, sous le nom d’Editions Profil puis renommée Profil Technology en 2014, elle édite des solutions de sécurité informatique sous ses marques Egedian et Witigo et ré-édite depuis 2001, les solutions antivirus Bitdefender. Pour plus d’informations, visitez le site profiltechnology.com
